Red Hat build of Keycloak: Rechteausweitung zu realm-admin durch Gruppenverschiebung
Zusammenfassung
Eine Schwachstelle in den Endpunkten zum Verschieben von Gruppen und zur Neuzuordnung von Organisationsgruppen in keycloak-services erlaubt es einem authentifizierten delegierten Administrator, eine von ihm verwaltete Gruppe unter eine administrative Gruppe zu verschieben. Alle Mitglieder der verschobenen Gruppe erben danach volle realm-admin-Rechte. Damit erhält der Angreifer die vollständige Kontrolle über den Realm, einschliesslich Benutzer, Zugangsdaten und Sicherheitskonfiguration. Der Angriff setzt gültige Zugangsdaten eines delegierten Administrators voraus, und die Schwachstelle ist eine unvollständige Behebung von CVE-2026-94000.
Betroffen
- Red Hat build of Keycloak (alle Versionen laut Red Hat als betroffen aufgeführt)
- Red Hat Single Sign-On 7 ist laut CVE-Eintrag nicht betroffen
Behoben in
Unbekannt. Ein offizieller Fix von Red Hat ist noch nicht bestätigt. Upstream-Fixarbeiten existieren im Pull Request 54888 von keycloak/keycloak, der Veröffentlichungsstatus ist jedoch nicht bestätigt.
Umgehung
- Red Hat hat keine Gegenmassnahme veröffentlicht, die deren Kriterien erfüllt.
- Inoffiziell, nicht von Red Hat bestätigt: Berechtigungen delegierter Administratoren einschränken und Gruppenverschiebungen auf Benutzer begrenzen, die bereits realm-admin-Rechte besitzen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Für diese CVE ist kein öffentlicher Exploit-Code bestätigt. Für die verwandte CVE-2026-94000, die einen anderen Pfad betrifft, existieren öffentliche PoCs.
- EPSS-Wert noch nicht verfügbar.
Unsere Empfehlung
- Prüfen Sie, ob Sie Red Hat build of Keycloak einsetzen, und identifizieren Sie alle delegierten Administratoren und Konten mit Gruppenverwaltungsrechten.
- Beschränken Sie Berechtigungen für Gruppenverschiebungen und Gruppenverwaltung auf eine möglichst kleine Gruppe vertrauenswürdiger Administratoren.
- Überprüfen Sie Änderungen der Gruppenmitgliedschaften und Admin-Ereignisse auf unerwartete Verschiebungen unter administrativen Gruppen.
- Stellen Sie die Admin-Konsole nicht ins Internet und installieren Sie den Fix von Red Hat, sobald er verfügbar ist.
- Prüfen Sie zudem den Status von CVE-2026-94000 auf Ihrer Version.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record CVE-2026-116468 (CVE.org) www.cve.org
- Red Hat CVE page CVE-2026-116468 access.redhat.com
- Red Hat Bugzilla 2560575 bugzilla.redhat.com
- Upstream Keycloak issue 54341 github.com
- Upstream Keycloak pull request 54888 github.com
- The Hacker Wire CVE-2026-116468 www.thehackerwire.com
- SentinelOne CVE-2026-94000 (related CVE) www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.